實戰 | 記一次釣魚客服到拿下服務器全過程

又是陽光明媚的一天無意中翻啊翻啊

翻到一款資金盤

對資金盤這種詐騙的，詐騙老百姓的錢，在國外躲著，真是無話可說

資金盤plus呢

左看右看沒啥東西，看看客服系統能不能打xss。

吊毛客服居然不在線，這套客服系統見過是whisper，之前審計過沒有存儲xss

但能通過偽造圖片地址獲取客服ip

這里直接提交內容里面加img src

然后就是漫長等待

終于客服點開了，發現是阿里云服務器，警惕性還蠻高

掃下端口看看

發現存在其他資產

應該是內部人員管理后臺

嘗試爆破，無果

翻看js文件

在js文件中找到一處get傳參點

存在sql注入

直接dump

Sql注入獲取到管理員信息，登錄后臺

騙子真猖狂啊，必須拿下

找到一處上傳點，getshell這不就來了嗎

直接上傳踢屁股

喲，沒返回路徑

正當沒啥結果，準備放棄的時候

亂翻亂翻，翻用戶跟客服的聊天記錄

還好聊天后臺會返回圖片路徑，而且上傳圖片名稱不會變

那不直接拿下